凯捷工程师一个字符的修改泄露了雷蛇数据；法院判赔650万美元

雷蛇于2019年聘请IT咨询公司WhiteSky Labs升级其数字商务平台；凯捷于2020年6月收购WhiteSky，并承接其义务。凯捷曾建议雷蛇使用ELK Stack（Elasticsearch、Logstash和Kibana）。2020年6月17日或18日，由于雷蛇员工无法登录Kibana，一名凯捷员工被要求排查问题。雷蛇称，该员工在Elasticsearch服务器上一个控制安全和访问的配置文件中添加了一条“#”命令，导致Kibana可在未认证的情况下被访问。

安全研究员Bob Diachenko于2020年8月19日就暴露问题提醒雷蛇，后来估计约10万名客户受到影响；此次泄露暴露了全球数千名客户的配送和订单详情，于2020年9月被广泛报道。雷蛇表示卡号和密码是安全的。该员工于9月10日删除“#”，修复了问题。

凯捷否认造成错误配置，主张修复登录问题不在其工作范围内，且该技术栈由雷蛇维护。在2022年7月庭审第六天，该员工承认是自己造成的。2022年12月，法官Lee Seiu Kin认定该工作属于合同范围，凯捷违反了其义务并存在过失，判给雷蛇650万美元，其中主要是Razer.com的610万美元利润损失，外加约6万美元取证费用和32万美元处理监管机构事务的律师费。

数千名雷蛇客户的配送和订单详情泄露；法院判给雷蛇650万美元（870万新元），其中主要是610万美元利润损失。

在排查登录问题时，一个操作把Kibana应用程序上强制执行访问控制的设置注释掉了。

该修改由供应商员工做出，显然未被审查发现，暴露状态持续数周未被察觉。

凯捷最初否认责任，称该工作超出范围，直到其员工在庭审中承认了修改。

法院认定，登录协助属于凯捷所同意的工作范围。

对登录问题的快速修复可能关闭身份验证；供应商需要变更审查，客户需要明确谁负责安全设置的清晰范围。

雷蛇于2022年12月9日赢得诉讼，新加坡高等法院判给其650万美元损害赔偿。法院采信客户询问表明该事件降低了人们从Razer.com购买的意愿。